漏洞攻擊誕生三周年危害有增無減 MTMD-又是小明小惠小萍網站

本文摘自 Tawain.CNET.com (原文網址)
============================================================
記者鍾翠玲／台北報導　　19/07/2004

三年前，病毒開始攻擊系統漏洞，並從此成為現今網路上最可怕的安全威脅。

2001年7月16日紅色警戒（CodeRed）爆發，入侵微軟IIS網頁伺服器，並發動拒絕服務(Denial of Service, DoS)癱瘓全球網路，成為史上第一隻攻擊系統漏洞的混合式病毒，也為網際網路的重大災害史揭開序幕。

由於漏洞攻擊不需經由使用者執行程式就能發作，加上全球電腦與伺服器已網網相連，不但較以往更難防範、造成的財務損失也特別鉅大。

紅色警戒造成全球36萬台電腦感染，26.2億美金損失，其中台灣約1萬5千台電腦受到感染，僅次於美國及中國大陸，受創程度全球排名第三。同年九月又有寧達(Nimda) 藉由電子郵件、網路資源分享及微軟IIS伺服器漏洞三種途徑入侵使用者電腦；2003年春節SQL Slammer利用微軟SQL Sever 2000系統漏洞進行攻擊，南韓幾乎全國當機，而全球損失約為20億美元。

紅色警戒證明漏洞攻擊十分有效，MSBlaster則讓心存僥倖不補漏洞的企業真正學到教訓。MSBlaster利用微軟DCOM RPC漏洞進行攻擊，這個漏洞出現到攻擊發生，期間只有26天；由於攻擊迅雷不及掩耳，MSBlaster一周內造成全球57萬台電腦感染。而到今年五月的Sasser，這個時間再度縮短為18天。

同時，受攻擊對象也愈來愈廣，不僅是IIS、Windows、Outlook等微軟軟體，包括Linux、Sendmail、Apache、Solaris、甚至網路設備大廠思科，也成為攻擊對象。

漏洞攻擊已變常態

賽門鐵克北亞區技術總監王岳忠指出，「儘快修補漏洞是絕對必要的事，因為你現在不補，未來還是要補。」

依據賽門鐵克針對網路上的各式異常活動所做的評估指數「網路風險指數」，攻擊已變成常態，全球網際網路上幾乎沒有一天不發生。這家網路安全公司的網路風險指數為2時，表示已發現漏洞，3則表示有某個對電腦設備有影響的威脅正在發生，或當惡意程式碼威脅到達嚴重程度。最高是4。

王岳忠指出，如果是1則表示全球網路只有輕微事件發生。「但這種時候基本上和台北市風和日麗、空氣良好的天數一樣不太多。」

微軟樹大招風　IE漏洞危害最大

但微軟還是最主要的攻擊目標。因為駭客攻擊，仍偏好挑戰最普遍的系統。王岳忠指出，Windows XP及IIS仍是最常被攻擊的系統及網頁伺服器。

漏洞攻擊終於驚動了作業系統巨人微軟。MSBlaster之後，微軟更強化漏洞資訊的通報系統，固定每個月發佈重大資訊安全公告，呼籲使用者及客戶儘快下載修補程式。

雖然如此，還是百密一疏，即使使用者平常勤於補洞，但一旦作業系統以原有光碟重灌，原有的漏洞就再度重現。幸好，在即將推出的Windows XP SP2中，已包含漏洞修補程式，以及新增多項安全功能。

王岳忠警告，在所有系統中，IE漏洞可能造成最嚴重的危害，因為IE的普及性最高。而且IE與Windows中多項功能結合地十分緊密，例如在「檔案總管」上方的網址列鍵入網址，就能開啟瀏覽器。

「在這種情形下，你即使用的不是IE，也不表示不會受到IE漏洞影響。」

王岳忠建議企業IT人員保險的作法是，定期將修補程式下載燒成一片光碟，至少是已出現過攻擊的漏洞修補程式。

而對一般電腦使用者，他呼籲最好能養成定時更新修補程式的習慣。「只要螢幕右下角冒出Windows Update要你更新的訊息，你最好馬上更新。」